Az Azure Local biztonsági alapértelmezett beállításainak kezelése

A következőkre vonatkozik: Azure Local 2311.2 és újabb verziók

Ez a cikk az Azure Local-példány alapértelmezett biztonsági beállításainak kezelését ismerteti. Az üzembe helyezés során definiált elsodródás-vezérlést és védett biztonsági beállításokat is módosíthatja, hogy az eszköz ismert jó állapotban induljon el.

Előfeltételek

Mielőtt hozzákezdene, győződjön meg arról, hogy rendelkezik hozzáféréssel egy azure-beli helyi rendszerhez, amely üzembe van helyezve, regisztrálva és csatlakozik az Azure-hoz.

Alapértelmezett biztonsági beállítások megtekintése az Azure Portalon

Az Azure Portal biztonsági alapértelmezett beállításainak megtekintéséhez győződjön meg arról, hogy alkalmazta az MCSB-kezdeményezést. További információ: Microsoft Cloud Security Benchmark kezdeményezés alkalmazása.

Az alapértelmezett biztonsági beállításokat használhatja a rendszerbiztonság, a sodródásvezérlés és a biztonságos alapbeállítások kezelésére a rendszeren.

Tekintse meg az SMB-aláírás állapotát az Adatvédelem>hálózatvédelem lapon. Az SMB-aláírással digitálisan aláírhatja az SMB-forgalmat egy Azure Local-példány és más rendszerek között.

A biztonsági alapkonfiguráció megfelelőségének megtekintése az Azure Portalon

Miután regisztrálta az Azure-helyi példányt a Felhőhöz készült Microsoft Defenderrel, vagy hozzárendelte a beépített szabályzatot, mely szerint a Windows-gépeknek meg kell felelniük az Azure számítási biztonsági alapkonfiguráció követelményeinek, létrejön egy megfelelőségi jelentés. Az Azure Local-példányhoz hasonlított szabályok teljes listájáért tekintse meg a Windows biztonsági alapkonfigurációját.

Az Azure Local-gépek esetében, amikor a biztonságos magra vonatkozó összes hardverkövetelmények teljesülnek, az alapértelmezett elvárt megfelelőségi pontszám a 324 szabályból 321 - vagyis a szabályok 99%-a megfelelő.

Az alábbi táblázat ismerteti a nem megfelelő szabályokat és a jelenlegi rés indokait:

A szabályok megfelelőségének javítása

A szabályok megfelelőségének javításához futtassa a következő parancsokat, vagy használjon bármilyen más eszközt:

1. Jogi közlemény: Hozzon létre egy egyéni értéket a jogi közleményekhez a szervezet igényeitől és szabályzataitól függően. Futtassa az alábbi parancsot:

   Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System" -Name "LegalNoticeCaption" -Value "Legal Notice"
   Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System" -Name "LegalNoticeText" -Value "LegalNoticeText"
   

2. Jelszó minimális hossza: Állítsa a jelszó minimális hosszára vonatkozó szabályzatot 14 karakterre az Azure Local machine-on. Az alapértelmezett érték 7, és a 14 alatti értékeket továbbra is megjelöli a figyelési alapkonfigurációs szabályzat. Futtassa az alábbi parancsot:

   net accounts /minpwlen:14
   

Biztonsági alapértékek kezelése a PowerShell-lel

Ha engedélyezve van az eltolódás elleni védelem, csak a nem védett biztonsági beállítások módosíthatók. Az alapkonfigurációt alkotó védett biztonsági beállítások módosításához először le kell tiltania az eltolódás elleni védelmet. A biztonsági beállítások teljes listájának megtekintéséhez és letöltéséhez tekintse meg a biztonsági alapkonfigurációt.

Alapértelmezett biztonsági beállítások módosítása

Kezdje a kezdeti biztonsági alapkonfigurációval, majd módosítsa az üzembe helyezés során definiált elsodródás-vezérlési és védett biztonsági beállításokat.

Sodródás-vezérlés engedélyezése

Az eltolódás-vezérlés engedélyezéséhez kövesse az alábbi lépéseket:

1. Csatlakozzon a helyi Azure-géphez.

2. Futtassa a következő parancsmagot:

   Enable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
   

   • Helyi – Csak a helyi csomópontot érinti.
   • Fürt – A fürtön lévő összes csomópontot érinti a vezénylő használatával.

Az eltolódás-vezérlés letiltása

Az eltolódás-vezérlés letiltásához kövesse az alábbi lépéseket:

1. Csatlakozzon a helyi Azure-géphez.

2. Futtassa a következő parancsmagot:

   Disable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
   

   • Helyi – Csak a helyi csomópontot érinti.
   • Fürt – A fürtön lévő összes csomópontot érinti a vezénylő használatával.

Biztonsági beállítások konfigurálása az üzembe helyezés során

Az üzembe helyezés részeként módosíthatja az eltolódás-vezérlést és a fürt biztonsági alapkonfigurációját alkotó egyéb biztonsági beállításokat.

Az alábbi táblázat az Azure Local-példányon az üzembe helyezés során konfigurálható biztonsági beállításokat ismerteti.

Biztonsági beállítások módosítása az üzembe helyezés után

Az üzembe helyezés befejezése után a PowerShell használatával módosíthatja a biztonsági beállításokat, miközben fenntartja az elsodródás-vezérlést. Egyes funkciók életbe lépéséhez újraindítás szükséges.

A PowerShell-parancsmag tulajdonságai

A következő parancsmagtulajdonságok az AzureStackOSConfigAgent modulhoz tartoznak. A modul telepítése az üzembe helyezés során történik.

• Get-AzsSecurity -Hatókör: <Helyi | Csomópont | Összes csomópont | Fürt>

  • Helyi – Logikai értéket (igaz/hamis) ad meg a helyi csomóponton. Futtatható egy hagyományos távoli PowerShell-munkamenetből.
  • PerNode – Logikai értéket (igaz/hamis) ad meg csomópontonként.
  • Jelentés – CredSSP-t vagy helyi Azure gépet igényel távoli asztali protokoll (RDP) kapcsolattal.
    • AllNodes – A csomópontok között kiszámított logikai értéket (true/False) adja meg.
    • Fürt – Logikai értéket biztosít az ECE-tárolóból. Kapcsolatba lép a vezénylővel és hatással van a fürt összes csomópontjára.

• Enable-AzsSecurity -Hatókör <Helyi | Klaszter>

• Disable-AzsSecurity -Hatókör <helyi | Klaszter>

  • FeatureName – <CredentialGuard | DriftControl | DRTM | HVCI | SideChannelMitigation | SMBEncryption | SMBSigning | VBS>

    • Sodródás-vezérlés
    • Hitelesítő védelem
    • VBS (Virtualization Based Security)– Csak a parancs engedélyezését támogatjuk.
    • DRTM (A mérés megbízhatóságának dinamikus gyökere)
    • HVCI (Hipervizor által kényszerített kódintegritás)
    • Oldalcsatorna-kockázatcsökkentés
    • SMB aláírás
    • SMB-klaszter titkosítása

    Fontos

    Enable AzsSecurity és Disable AzsSecurity a parancsmagok csak az új üzemelő példányokon vagy a frissített üzemelő példányokon érhetők el, miután a biztonsági alapkonfigurációk megfelelően alkalmazva lettek a csomópontokra. További információ: Biztonság kezelése az Azure Local frissítése után.

Az alábbi táblázat felsorolja a támogatott biztonsági funkciókat, azt, hogy támogatják-e a sodródás-vezérlést, és szükség van-e újraindításra a funkció megvalósításához.

Következő lépések

• A BitLocker-titkosítás ismertetése.